CVE-2025-32463: `sudo -R` NSS 주입을 통한 로컬 권한 상승

요약

이 PoC는 사용자 정의 NSS 모듈과 함께 sudo -R 옵션을 악용하여 Linux 시스템에서 로컬 권한 상승을 보여줍니다. 이는 chroot 환경에서 nsswitch.conf 및 NSS 공유 라이브러리의 안전하지 않은 처리에서 비롯된 취약점 CVE-2025-32463을 대상으로 합니다.

이 PoC인 sudo2root 는 constructor 속성을 활용하여 권한을 상승시키고 /usr/local/bin/.suidshell에 setuid 루트 셸을 배치하는 사용자 정의 NSS 모듈을 컴파일하여 원래 기술을 적용합니다.

취약점 세부 정보

취약점: sudo의 -R chroot 플래그에 대한 부적절한 입력 검증 및 안전하지 않은 사용.
영향: sudo 접근 권한이 있는 로컬 공격자가 루트로 임의 코드를 실행하여 컨테이너 및 사용자 격리를 깨뜨릴 수 있습니다.
근본 원인:
- sudo -R은 루트 디렉터리를 변경하지만 권한을 삭제하지 않거나 환경을 정제하지 않습니다.
- NSS 모듈은 이 새로운 루트 내의 공격자가 제어하는 경로에서도 로드됩니다.
익스플로잇 전략:
1. 악성 nsswitch.conf 및 사용자 정의 libnss_* 공유 객체로 가짜 루트 파일 시스템을 생성합니다.
2. sudo가 공격자가 제어하는 NSS 라이브러리를 로드하도록 속입니다.
3. 공유 객체는 로드 시 (__attribute__((constructor))를 통해) 코드를 실행하고, setuid 루트 셸을 배치하며 권한을 상승시킵니다.

PoC 개요

주요 구성 요소:

sudo2root.c – 악성 NSS 모듈:
- 다음을 수행하는 생성자 함수 사용:
  - setreuid(0,0) 및 setregid(0,0)을 통해 루트 획득
  - 루트 셸용 작은 C 프로그램 작성
  - gcc로 컴파일
  - 올바른 SUID 권한 설정
Bash 익스플로잇 스크립트:
- 다음으로 가짜 chroot 준비:
  - etc/nsswitch.conf
  - 사용자 정의 libnss_/sudo2root1337.so.2 NSS 모듈
- 다음을 통해 익스플로잇 실행:
```
sudo -R sudo2root sudo2root
```
Setuid 셸:
- 위치: /usr/local/bin/.suidshell
- 실행 시 루트 유지:
```
/usr/local/bin/.suidshell id
```

사용법

chmod +x sudoinject.sh
./sudoinject.sh

익스플로잇이 완료되면 다음을 실행합니다:

/usr/local/bin/.suidshell
whoami  # => root

파일 구조

sudoinject.sh                 # Main exploit script
libnss_/sudo2root1337.so.2   # Malicious NSS module (compiled)
sudo2root/etc/nsswitch.conf  # Custom nsswitch pointing to fake module
/usr/local/bin/.suidshell    # Final setuid root shell

기술 개요:

`sudo -R` 익스플로잇:

sudo의 -R <dir> 플래그는 명령을 실행하기 전에 루트 디렉터리를 변경합니다.
이 디렉터리에 passwd: /libnss_<name>.so가 있는 사용자 정의 nsswitch.conf가 있으면 sudo는 권한을 삭제하기 전에 이를 로드합니다.
이 동작으로 루트로서 임의 코드 실행이 가능합니다.

NSS 모듈 실행:

공유 객체는 다음으로 컴파일됩니다:

gcc -shared -fPIC -Wl,-init,exploit_constructor -o libnss_/sudo2root1337.so.2 sudo2root.c

생성자는 main() 로직 이전에 실행됩니다.
다음으로 suid 셸을 생성 및 컴파일합니다:
```
setreuid(0,0); setregid(0,0); execl("/bin/bash", "bash", NULL);
```

다음을 통해 권한 설정:

chown 0:0 .suidshell && chmod 4755 .suidshell

스크린샷 (PoC)

PoC Screenshot

감사의 말

원본 PoC 영감: pr0v3rbs/CVE-2025-32463_chwoot
익스플로잇 각색 및 개선: MikiVirus

📢 면책 조항

이 코드는 교육 목적으로만 제공됩니다. 소유하지 않거나 명시적 테스트 권한이 없는 시스템에서 이 코드를 무단으로 사용하는 것은 불법이며 비윤리적입니다. 보안 테스트를 수행하기 전에 항상 적절한 승인을 받으십시오.

sudoinjection

인기